Rootkit #CVE-2015-2291

显示全部楼层 · 发表于 2022-6-21 16:57:17

00006666 发表于 2022-6-21 16:53
其实我有个想法，其实可以在急救箱目录放一个TXT文件，里面就写如果急救箱扫描结束按提示点击重启时会崩 ...

新版解决了这个问题，能直接重启，所以意义不大。而且急救箱的定位是给小学生解决大学教授的问题，估计没多少人看你写的是啥。人家只要简单操作，解决问题即可。

显示全部楼层 · 发表于 2022-6-21 16:59:02

wowocock 发表于 2022-6-21 16:57
新版解决了这个问题，能直接重启，所以意义不大。而且急救箱的定位是给小学生解决大学教授的问题，估计没 ...

定位很形象

，不过确实是这样，希望早日能发布新版吧

显示全部楼层 · 发表于 2022-6-21 17:01:18

卡巴扫描miss
https://opentip.kaspersky.com/09 ... 765D770A57A2EAB9AE/
High
HEUR:Trojan.Win64.MalDrv.gen
High
Trojan.Win32.Rekvex.sb

https://opentip.kaspersky.com/84 ... 8519DC0ECA2B8F9022/

High Trojan.Win32.Rekvex.sb
High HEUR:Trojan.Win64.MalDrv.gen

显示全部楼层 · 发表于 2022-6-21 17:01:42

00006666 发表于 2022-6-21 16:59
定位很形象，不过确实是这样，希望早日能发布新版吧

无所谓了，反正我会在这里发布新版本，你们测试能查杀即可。有杀不掉的，记得提供样本给我。

显示全部楼层 · 发表于 2022-6-21 17:05:00

感觉rootkit还是测试主防能不能拦住加载比较好，带毒环境除了急救箱这种，基本上都得进pe处理吧

显示全部楼层 · 发表于 2022-6-21 17:06:50

huangzihang 发表于 2022-6-21 17:05
感觉rootkit还是测试主防能不能拦住加载比较好，带毒环境除了急救箱这种，基本上都得进pe处理吧

BD漏的很彻底
换回卡巴了

显示全部楼层 · 发表于 2022-6-21 17:11:14

huangzihang 发表于 2022-6-21 17:05
感觉rootkit还是测试主防能不能拦住加载比较好，带毒环境除了急救箱这种，基本上都得进pe处理吧

卡巴这方面也很强，就跟急救箱一样，除非是被针对、被拦截加载驱动，其他的一般都能清除。

SF驱动木马一般针对的都是急救箱，不会针对卡巴等

显示全部楼层 · 发表于 2022-6-21 17:11:58

huangzihang 发表于 2022-6-21 17:05
感觉rootkit还是测试主防能不能拦住加载比较好，带毒环境除了急救箱这种，基本上都得进pe处理吧

主防要能靠得住的话，微软也不用在内核里整啥证书黑名单了。
https://docs.microsoft.com/en-us ... -driver-block-rules

显示全部楼层 · 发表于 2022-6-21 17:15:04

本帖最后由 00006666 于 2022-6-21 17:22 编辑

wowocock 发表于 2022-6-21 17:11
主防要能靠得住的话，微软也不用在内核里整啥证书黑名单了。
https://docs.microsoft.com/en-us/windows ...

很多木马驱动都能带着微软的WHQL签名，坑了不少杀软

显示全部楼层 · 发表于 2022-6-21 17:16:04

00006666 发表于 2022-6-21 17:11
卡巴这方面也很强，就跟急救箱一样，除非是被针对、被拦截加载驱动，其他的一般都能清除。

SF驱动木马 ...

急救箱是被针对的最狠，记得当年暗云3刚出来的时候，横扫一片，谁都不针对，就针对急救箱驱动处理。搞的我不得不加入更多猥琐技术进去，整的越来越像病毒。

[病毒样本] Rootkit #CVE-2015-2291